CVE-2026-19902

WordPress üçün olan Ad Inserter – Ad Manager & AdSense Ads plagini, '{search-query}' dinamik teqi üzərində kifayət qədər giriş təmizlənməsi və çıxışın ekranlaşdırılmaması səbəbindən 2.8.18 daxil olmaqla bütün versiyalarda Referer başlığı vasitəsilə Əksolunan Saytlararası Skriptinq (Reflected XSS) zəifliyinə malikdir. Reklam blokunun kodu həmin teqi ehtiva etdikdə, replace_ai_tags() funksiyası $_SERVER['HTTP_REFERER'] dəyərini oxuyur və onu /[\.\/](google|yahoo|bing|ask)\.[a-z\.]{2,5}[\/]/i reqeks ilə yoxlayır. Başdakı [\.\/] sinfi hərfi slash işarəsi ilə uyğunlaşdığı üçün, sadəcə '/google.com/' kimi seqment ehtiva edən istənilən referrer axtarış mühərriki yönləndirməsi kimi qəbul edilir; daha sonra plagin parse_str() vasitəsilə yönləndirici sorğunu faiz-dekodlaşdırır və nəticədə alınan 'q' (və ya 'p') dəyərini heç bir ekranlaşdırma olmadan preg_replace() vasitəsilə bloka yerləşdirir. Bu, autentifikasiya olunmamış hücumçulara, daxil olmuş administrator da daxil olmaqla, istənilən ziyarətçi üçün sayt kontekstində ixtiyari JavaScript kodunu icra etməyə imkan verir; bunun üçün onlar istifadəçini adi yazıya link verən və ya onu çərçivəyə alan hücumçu tərəfindən idarə olunan səhifəyə cəlb etməlidirlər. Zəifliyin istismarı üçün saytda avtomatik yerləşdirmə aktiv edilmiş və kodu '{search-query}' teqindən istifadə edən reklam blokunun olması tələb olunur ki, bu da plagiinin sənədləşdirilmiş standart funksiyasıdır.